Politique de confidentialité

Dernière mise à jour : 15 août 2026

1. Introduction

Bienvenue sur PassKeyra, un gestionnaire de mots de passe sécurisé développé par Steven Couton.

Votre vie privée est la priorité absolue du développeur. PassKeyra suit un modèle dit « zero-knowledge » : le code secret que vous choisissez n'est jamais transmis et ne quitte jamais votre appareil. Toutes les données synchronisées dans le cloud sont chiffrées localement avant d'être envoyées, avec une clé dérivée de ce code secret. Aucun tiers (le développeur compris) ne peut techniquement lire vos données.

Quand PassKeyra a besoin de services techniques externes, plusieurs prestataires indépendants sont utilisés plutôt qu'un seul, volontairement. Ainsi, aucun service tiers ne peut recouper l'ensemble de vos informations : chacun ne voit qu'une partie limitée, sans vue d'ensemble possible.

Cette politique de confidentialité explique précisément quelles données sont collectées, par quels services, à quelles fins, et comment vous pouvez exercer vos droits.

2. Données collectées par PassKeyra

2.1 Mode local (par défaut, sans aucun compte)

Au premier lancement, PassKeyra fonctionne entièrement hors-ligne. Dans ce mode :

PassKeyra ne collecte AUCUNE donnée personnelle :

• Pas de nom, prénom ou pseudonyme
• Pas d'adresse email
• Pas de numéro de téléphone
• Pas de mot de passe ou code secret transmis quelque part
• Pas de localisation GPS
• Pas d'accès aux contacts, photos ou fichiers

Toutes vos informations (mots de passe, codes secrets, catégories) sont stockées uniquement sur votre appareil dans une base chiffrée AES-256-GCM (Hive), avec une clé dérivée par PBKDF2 (600 000 itérations) à partir de votre code secret.

2.2 Mode Cloud Sync (optionnel, utilisateurs Premium)

Si vous activez explicitement la synchronisation cloud (Paramètres → Sauvegarde & Synchronisation Cloud → activer la synchronisation), PassKeyra vous demande de vous connecter avec un compte Google. Dans ce cas, les données suivantes sont collectées :

Important : les sauvegardes envoyées à Firestore sont chiffrées bout-en-bout avec une clé AES-256-GCM dérivée de votre code secret. Cette clé n'est jamais transmise. Ni Google, ni Firebase, ni le développeur ne peut déchiffrer vos mots de passe.

2.3 Backups Google Drive (optionnel)

Vous pouvez aussi sauvegarder manuellement ou automatiquement votre coffre vers Google Drive. Dans ce cas :

• Les fichiers de sauvegarde sont chiffrés AES-256-GCM avant upload
• Le scope OAuth Google Drive est drive.file : PassKeyra ne voit que les fichiers qu'il a lui-même créés, pas le reste de votre Drive
• Les tokens OAuth sont stockés localement dans le secure storage Android (chiffré)
• Le nom de votre appareil accompagne chaque sauvegarde en clair, pour vous permettre de reconnaître son origine sans l'ouvrir. C'est la seule information que vous choisissez vous-même à ne pas être chiffrée. Vous pouvez la modifier à tout moment depuis Paramètres.

2.4 Formulaire de contact du site (passkeyra.com/contact.html)

Le site propose un formulaire pour laisser un avis ou signaler un problème, envoyé de façon anonyme (aucun compte requis) vers une base de données du développeur. Deux cas distincts :

• Avis : pseudo et message sont collectés. Si vous cochez explicitement la case d'autorisation, votre pseudo et votre message peuvent être affichés publiquement sur le site. Sans cette case cochée, l'avis reste un retour interne, jamais publié.
• Signalement de bug / problème : un pseudo ou un email (facultatif) et une description du problème sont collectés. Ces messages restent strictement internes et ne sont jamais publiés, quel que soit leur contenu.

Ces données sont conservées sans limite de durée définie (elles servent d'archive), le développeur ne les partage avec aucun tiers autre que l'infrastructure technique de stockage.

3. Services tiers utilisés

3.1 Google AdMob (publicités, utilisateurs gratuits uniquement)

PassKeyra utilise Google AdMob (SDK google_mobile_ads:6.0.0) pour afficher des bannières publicitaires aux utilisateurs non Premium. AdMob peut collecter :

• L'identifiant publicitaire Android (AAID)
• Votre adresse IP
• Le type d'appareil et la version du système
• Une localisation approximative (basée sur l'IP)
• Les données d'interaction avec les publicités

Ces données sont collectées et traitées par Google, pas par PassKeyra. App ID AdMob déclaré : ca-app-pub-9620704693689273~9525212822.

Pour en savoir plus :

• Politique de confidentialité de Google
• Comment Google utilise les données des applications partenaires

Vous pouvez désactiver complètement les publicités en passant à la version Premium.

3.2 Consentement RGPD et publicité personnalisée (utilisateurs EEE/UK/CH)

Si vous résidez dans l'Espace Économique Européen, au Royaume-Uni ou en Suisse, PassKeyra utilise le Google User Messaging Platform (UMP) pour obtenir votre consentement conformément au RGPD et au TCF v2.2.

Au premier lancement, un formulaire de consentement vous propose :

• Accepter : publicités personnalisées basées sur vos centres d'intérêt
• Refuser : publicités génériques non personnalisées uniquement
• Gérer les préférences : choisir précisément quelles données vous autorisez

Vous pouvez modifier votre consentement à tout moment depuis les Paramètres → Confidentialité et Données.

3.3 Google Play Billing (achats Premium)

Si vous achetez la version Premium, le paiement est traité par Google Play Billing. PassKeyra ne collecte ni ne stocke vos informations bancaires ou de paiement. Toutes les transactions sont gérées directement par Google Play.

Pour plus d'informations : Politique de confidentialité de Google Payments

3.4 Firebase Authentication (Cloud Sync, Premium)

Pour la synchronisation cloud, PassKeyra utilise Firebase Authentication avec le fournisseur Google Sign-In. Données stockées par Firebase :

• UID Firebase (identifiant interne unique)
• Adresse email du compte Google
• Métadonnées techniques (date de création, dernière connexion)

Firebase est un service de Google. Project ID : passkeyra. Politique de confidentialité Firebase

Ce que le chiffrement ne cache pas

Le contenu de vos entrées est chiffré sur votre appareil avant d'être envoyé : Google ne peut pas le lire, et la clé ne quitte jamais votre appareil.

En revanche, le chiffrement protège le contenu, pas les traces d'usage. En hébergeant la synchronisation, Google peut observer :

• qu'un compte utilise la synchronisation, et depuis quand ;
• à quels moments et à quelle fréquence elle a lieu ;
• le nombre de documents synchronisés et leur taille ;
• la date de dernière modification de chacun.

Ces informations ne révèlent ni les sites, ni les identifiants, ni les mots de passe que vous enregistrez. Elles indiquent seulement que le service est utilisé, et à quel rythme.

Nous le précisons parce que c'est vrai de toute synchronisation cloud, y compris chiffrée, et qu'il nous paraît préférable de l'écrire plutôt que de laisser croire que le chiffrement rend l'usage lui-même invisible. Si ce point vous importe, la synchronisation reste facultative : PassKeyra fonctionne intégralement hors-ligne sans elle.

3.5 Cloud Firestore (sauvegardes chiffrées)

Vos sauvegardes sont stockées dans Cloud Firestore (base NoSQL Google). Structure : users/{votre_uid}/vault/data/.... Les Firestore Rules empêchent techniquement tout autre utilisateur de lire vos documents :

match /users/{uid}/{document=**} {
  allow read, write: if request.auth != null
                     && request.auth.uid == uid;
}

Le contenu de vos données est chiffré AES-256-GCM côté client avant l'upload : Firestore ne voit que des blobs opaques. Quelques champs techniques restent lisibles pour permettre la synchronisation : dates de modification, numéros de version, empreinte de clé (calcul à sens unique qui ne révèle rien de votre code secret) et nom de l'appareil.

3.6 Google Drive (backup manuel)

Si vous activez la sauvegarde Google Drive, PassKeyra utilise l'API Drive avec le scope limité https://www.googleapis.com/auth/drive.file. PassKeyra ne peut accéder qu'aux fichiers qu'elle a elle-même créés (préfixe passkeyra_backup_), pas au reste de votre Drive.

3.7 DuckDuckGo (affichage des logos, optionnel)

Si vous activez l'option « Affichage des logos » (Paramètres → Apparence → Affichage des logos), désactivée par défaut, PassKeyra interroge le service d'icônes de DuckDuckGo pour récupérer et afficher le logo réel de chaque site associé à vos entrées. Seule l'adresse du site concerné est transmise, jamais vos identifiants, mots de passe ou toute autre donnée du coffre. Vous pouvez aussi désactiver l'affichage du logo au cas par cas pour une entrée précise, sans désactiver l'option pour le reste du coffre. Les logos récupérés sont mis en cache localement sur votre appareil ; vous pouvez désactiver cette option et vider ce cache à tout moment depuis les Paramètres.

Pour en savoir plus :

• Politique de confidentialité de DuckDuckGo

4. Permissions Android demandées

PassKeyra ne demande PAS :

• Votre localisation (GPS)
• Votre carnet de contacts
• Votre appareil photo ou galerie
• Vos SMS ou appels téléphoniques
• Votre stockage externe (sauf pour les sauvegardes que vous créez manuellement)

Aucune permission « dangereuse » Android n'est demandée.

5. Sécurité des données

PassKeyra utilise plusieurs couches de sécurité :

• Chiffrement AES-256-GCM pour le coffre local (Hive) et toutes les sauvegardes
• PBKDF2 600 000 itérations (dérivation native via cryptography_flutter) pour transformer votre code secret en clé de chiffrement
• Android Keystore pour le wrap biométrique de la clé maître
• FLAG_SECURE activé : bloque les captures d'écran et l'aperçu de l'app dans le sélecteur de tâches
• Network Security Config : tout trafic HTTP en clair est bloqué, seul HTTPS avec validation TLS standard est autorisé
• Comparaisons timing-safe sur les tokens de validation
• Zeroize en RAM : la clé dérivée est mise à zéro octet par octet à chaque verrouillage de l'app
• Auto-lock par inactivité (configurable, défaut 120 s)

Important : si vous oubliez votre code secret, il est impossible de récupérer vos données. Le développeur ne peut pas vous aider car il n'a aucun moyen technique d'accéder à vos informations chiffrées.

6. Vos droits (RGPD / GDPR)

Si vous résidez dans l'Union Européenne, vous bénéficiez des droits suivants en vertu du Règlement Général sur la Protection des Données (RGPD). Voici comment les exercer concrètement avec PassKeyra :

Pour les données collectées par Google AdMob, vous pouvez aussi exercer vos droits directement auprès de Google : Paramètres de confidentialité Google.

7. Partage de données avec des tiers

PassKeyra ne vend ni ne partage vos données à des fins commerciales. Les seules entités tierces qui reçoivent des données sont les services techniques nécessaires au fonctionnement :

• Google (AdMob, Firebase Auth, Firestore, Drive, Play Billing), pour les fonctionnalités correspondantes décrites en section 3
• DuckDuckGo, uniquement si vous activez l'option optionnelle « Affichage des logos », pour récupérer le logo des sites associés à vos entrées (section 3.7)

Aucune donnée n'est envoyée à des courtiers de données, agences marketing tierces, ou réseaux sociaux. Les sauvegardes envoyées dans le cloud sont chiffrées E2E : les serveurs reçoivent des données binaires opaques.

8. Suppression de compte et de données

8.1 Suppression depuis l'application (recommandée, immédiate)

Procédure :

1. Ouvrir PassKeyra
2. Aller dans Paramètres → Sauvegarde & Synchronisation, puis ouvrir Sauvegarde & Synchronisation Cloud
3. En bas de la page, déplier la section d'aide (« ? »)
4. Appuyer sur le lien rouge « Supprimer mon compte cloud »
5. Confirmer dans la boîte de dialogue

Effet immédiat :

• Suppression de votre compte Firebase Authentication (UID, email)
• Suppression de toutes vos sauvegardes synchronisées dans Firestore
• Déconnexion de Google Sign-In

8.2 Suppression par email (si vous n'avez plus l'application)

Si vous avez désinstallé PassKeyra ou ne pouvez plus l'ouvrir, envoyez un email à :

• Adresse : [email protected]
• Sujet : « Suppression de compte PassKeyra »
• Corps du message : indiquez l'adresse email Google associée à votre compte PassKeyra

Délai : votre demande sera traitée sous 30 jours maximum conformément au RGPD (Article 12).

8.3 Données supprimées

• Compte Firebase Authentication (UID, email, métadonnées)
• Profil Google Sign-In stocké côté Firebase (nom, email, photo)
• Toutes les sauvegardes Firestore (toutes versions, chiffrées E2E)
• Tokens OAuth Google Drive (si vous les utilisiez pour vos backups)

8.4 Données conservées

Aucune. La suppression est complète et définitive. Aucune copie n'est conservée par le développeur. Les délais techniques de réplication Google Cloud (~14 jours, hors contrôle du développeur) s'appliquent ensuite avant suppression physique des serveurs Google.

8.5 Suppression partielle (sans supprimer le compte)

Vous pouvez aussi supprimer une partie de vos données sans fermer votre compte :

• Désactiver le Cloud Sync tout en gardant le compte : Paramètres → Sauvegarde & Synchronisation Cloud → désactiver la synchronisation
• Supprimer une seule entrée : appui long sur l'entrée dans la liste → Supprimer
• Vider tout le coffre local : Paramètres → Réinitialiser l'application
• Désinstaller l'application : supprime toutes les données locales chiffrées (vault Hive + secure storage Android)

8.6 Données locales (sur votre appareil)

Les données locales (vault chiffré AES-256-GCM dans Hive, secure storage Android) ne sont jamais transmises au développeur. Pour les supprimer :

• Bouton « Réinitialiser » dans Paramètres → Avancé
• Désinstaller l'application (suppression complète automatique)
• Effacer les données via Paramètres Android → Applications → PassKeyra → Stockage → Effacer les données

9. Conservation des données

Durées de conservation par type de donnée :

Les données locales sont automatiquement supprimées si vous :

• Désinstallez l'application
• Effacez les données de l'application via les Paramètres Android
• Utilisez la fonction « Réinitialiser » dans l'application

10. Données des enfants

PassKeyra ne cible pas les enfants de moins de 13 ans. L'application contient des publicités (pour les utilisateurs non-Premium) et est classée 13+ sur le Google Play Store.

PassKeyra ne collecte pas sciemment de données auprès d'enfants. Si vous êtes parent et pensez que votre enfant a fourni des informations, contactez le développeur immédiatement pour que les mesures appropriées puissent être prises.

11. Modifications de cette politique

Cette politique de confidentialité peut être mise à jour de temps à autre. Toute modification sera publiée sur cette page avec une nouvelle date de « Dernière mise à jour ». Il est recommandé de consulter régulièrement cette page pour rester informé.

Les modifications importantes seront notifiées via l'application ou une mise à jour sur le Play Store.

12. Contact

Pour toute question concernant cette politique de confidentialité, vos données personnelles, ou pour exercer vos droits RGPD, vous pouvez contacter le développeur :

• Email : [email protected]
• Développeur : Steven Couton
• Adresse : 45 Rue Jodon, 45700 Villemandeur, France

13. Juridiction

Cette politique de confidentialité est régie par les lois françaises et européennes. En cas de litige, les tribunaux français seront compétents.

PassKeyra, Gestionnaire de mots de passe sécurisé
© 2025–2026, Tous droits réservés

Développée avec l'assistance d'outils d'intelligence artificielle pour garantir la qualité et la sécurité du code.